Ing. Calogero Bono
Barracuda выпустила патчи для двух уязвимостей, которые при совместном использовании позволяют удалённому атакующему выполнять команды от root на Email Security Gateway без какого-либо логина. CSIRT Italia выпустил предупреждение, сообщив о доступности proof of concept (PoC). Компания watchTowr опубликовала техническый разбор цепочки. Это важно, потому что устройство фильтрует корпоративную почту и, если оно открыто в сеть, становится очень уязвимой точкой входа.
Несколько терминов, прежде чем перейти к фактам. CVE — это код, который идентифицирует известную уязвимость. PoC (Proof of Concept) — демонстрация того, как можно использовать брешь. Authentication bypass — обход контроля доступа. Command injection — внедрение системных команд в поле, которое должно содержать только данные. CVSS — оценка серьёзности от 0 до 10.
Что произошло с Barracuda?
По данным предупреждения ACN, доступен PoC для двух уязвимостей, CVE-2026-116606 и CVE-2026-111560, которые касаются нескольких продуктов Barracuda. Вместе они позволяют удалённому атакующему, имеющему доступ к административному интерфейсу, обойти аутентификацию и выполнить произвольный код.
Как сообщает The Hacker News, компания выпустила патчи в понедельник, а watchTowr подробно описала цепочку в четверг.
Как работают две уязвимости?
CVE-2026-116606 — это обход аутентификации, оценённый в 9.3 из 10 (CVSS 4.0). Она касается только Email Security Gateway. По данным ACN, она возникает из-за ошибки при смене административного пароля. Когда смена не удаётся, программа сообщает об ошибке, но не останавливает запрос.
CVE-2026-111560 — это command injection с оценкой 8.6. Поле часового пояса (system_timezone) не экранирует метасимволы оболочки, и команды выполняются с повышенными привилегиями. Обычно для этого нужна учётная запись администратора, но на ESG обход её предоставляет.
Как получить root без логина?
По анализу watchTowr, на который ссылается The Hacker News, неудачная смена пароля возвращает атакующему роль с ограниченными правами вместо того, чтобы заблокировать запрос. Это оставляет открытой функцию восстановления из резервной копии.
Загруженная резервная копия содержит значение часового пояса, которое устройство затем выполняет как команду оболочки с правами root. Barracuda защищает резервные копии контрольной суммой, но секрет для её расчёта записан в коде, поэтому его можно подделать. watchTowr продемонстрировала атаку, записав файл от имени root.
Какие продукты затронуты и как исправить?
Command injection затрагивает шесть продуктов.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
На пяти продуктах, кроме ESG, по-прежнему нужна учётная запись администратора. Barracuda выпустила патч для каждого продукта. Email Security Gateway исправлен начиная с версии 9.4.0.030. Если обновиться сразу не получается, ограничь административный интерфейс доверенными внутренними сетями и включи автоматические обновления, если ты их отключал.
Ограничения, которые стоит знать
Ни одна из двух уязвимостей не значится в каталоге KEV от CISA, и никакие публичные отчёты не связывают их с атаками. watchTowr выпустила инструмент для обнаружения, но не эксплойт. Остаётся вопрос, появятся ли публичные эксплойты. Два источника описывают обход немного по-разному, а полный список версий есть только в бюллетене вендора.
Что это меняет для тех, кто работает с цифровыми технологиями
Если твоя компания использует устройство Barracuda, сразу проверь версию прошивки и установи патч. Затем выясни, доступен ли административный интерфейс из интернета, ведь это условие атаки. Тому, кто управляет инфраструктурой, стоит ограничить доступ, как в случае с приватной подсетью и группами безопасности. Если серверы обслуживают третьи лица, уточни, кто отвечает за обновления, как в случае с управляемым хостингом.
Наше мнение
Этот случай демонстрирует классическую ошибку. Проверка, которая сообщает о проблеме, но не останавливает процесс, почти ничего не стоит. К этому добавляется фиксированный секрет для контрольной суммы в коде, который никого не останавливает. Периметровая защита не должна открывать удалённый root-доступ. Вспомни также и уязвимость APT при установках от root. Паниковать не нужно, но патч стоит установить сейчас.
Часто задаваемые вопросы
Нужен ли логин, чтобы использовать цепочку на Barracuda ESG?
Нет. По данным The Hacker News, две связанные уязвимости ведут к root без логина. Однако атакующий должен добраться до административного интерфейса устройства.
Какие версии Email Security Gateway исправлены?
Версия 9.4.0.030 и более новые. Подробности по каждому продукту указаны в бюллетене безопасности Barracuda.
Уже ли эксплуатируются эти уязвимости в атаках?
Об этом не сообщается. Источники говорят, что их нет в каталоге KEV от CISA и что никакие публичные отчёты не связывают их с атаками. PoC при этом доступен.
Что делать, если сразу обновиться нельзя?
Ограничь административный интерфейс доверенными внутренними сетями. Также включи обратно автоматические обновления, если ты их отключал.
Кто присвоил два идентификатора CVE?
Mandiant, по данным The Hacker News. Mandiant, присвоившая два CVE, оценила обход в 9.3 из 10, а command injection в 8.6.
Что проверить в ближайшие недели на устройствах Barracuda
Патч есть, но PoC доступен, и окно между объявлением и атаками сокращается. Стоит следить за развитием ситуации.
- Проверь, попадают ли две CVE в каталог KEV от CISA и появляются ли публичные эксплойты.
- Используй инструмент обнаружения от watchTowr, чтобы проверить свои устройства.
- Перечитай бюллетень Barracuda для продуктов, кроме ESG, и убедись в правильных версиях.
